知识卡片
安全响应要先调查后动手而可靠性响应相反
内容
一次普通生产事故里，网站可靠性工程师的本能是先回滚、修复系统，回头再复盘——因为系统不会因被修复而产生反制行为。但安全事件里，攻击者可能正实时监视响应团队的一举一动，若在没搞清攻击者渗透多深前就贸然修复，可能提醒对方”已暴露”，还可能只清理了冰山一角、遗漏其他后门。这个差异决定了安全响应必须先完成全面调查再动手补救，和”先止损再复盘”的直觉正好相反。
参考来源
- 位置：《Google系统架构解密：构建安全可靠的系统》第17章《危机管理》17.2.1节第一步：不要惊慌（源文件：`../OREILY动物书合辑 图灵新版/_epub-src/text/part0014_split_137.html`）
- 结论依据：原文明确对比"网站可靠性工程师通常先修复系统，然后记录从故障中吸取的经验教训……相反，安全响应需要团队先对事情进行全面调查，再尝试纠正问题"，并说明"在没有完成全面调查的情况下就试图修复系统，可能会带来灾难性的后果"。
- 原始内容：网站可靠性工程师通常先修复系统，然后记录从故障中吸取的经验教训……相反，安全响应需要团队先对事情进行全面调查，再尝试纠正问题……在入侵过程中，攻击者可能会密切关注目标组织所采取的行动，并在响应人员试图解决问题时与之对抗。